Datenschutzerklärung

§ 1 Verantwortlicher und Kontakt

Verantwortlicher für die Datenverarbeitung im Sinne der DSGVO ist:

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

§ 2 Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Zweck der Verarbeitung ist die Bereitstellung, Wartung und Optimierung unserer SaaS-Plattform „klarofix" für Handwerksbetriebe und Dienstleister.

§ 3 Rechtsgrundlagen

Die Verarbeitung stützt sich auf folgende Grundlagen:

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z. B. Marketing-Cookies, Analyse-Tracking).
• Art. 6 Abs. 1 lit. b DSGVO: Erfüllung eines Vertrages oder vorvertraglicher Maßnahmen (z. B. Nutzerkonto, Support-Leistungen).
• Art. 6 Abs. 1 lit. c DSGVO: Erfüllung rechtlicher Verpflichtungen (z. B. steuerliche Nachweise des Anbieters).
• Art. 6 Abs. 1 lit. f DSGVO: Wahrung berechtigter Interessen (z. B. IT-Sicherheit, Missbrauchsprävention).

§ 4 Server-Logs und Zugriffsdaten

Beim Aufruf unserer Domains werden automatisch Informationen durch unseren Hosting-Provider IONOS SE erfasst:

• Daten: IP-Adresse, Zeitstempel, Browsertyp und -version, Betriebssystem, Referrer-URL.
• Zweck: Systemsicherheit, Fehleranalyse und Missbrauchsprävention.
• Speicherdauer: Löschung nach 7 Tagen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

§ 5 Registrierung und Nutzerkonto

• Pflichtdaten: Name, E-Mail-Adresse, Passwort (verschlüsselt als bcrypt-Hash, mind. 12 Runden).
• Optionale Daten: Firmenname, Adresse, Telefon, USt-ID, Bankverbindung, Logo, SMTP-Zugangsdaten.
• Zweck: Bereitstellung der SaaS-Funktionen und Vertragsverwaltung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

§ 6 Vertrags- und Nutzungsdaten (Auftragsverarbeitung)

Innerhalb der Plattform verarbeiten Sie als Nutzer Daten Ihrer eigenen Endkunden (Angebote, Rechnungen, Kundenstammdaten, Mahnungen, Ausgaben, Verträge etc.).

• Rollen: Sie sind der „Verantwortliche"; klarofix ist der „Auftragsverarbeiter".
• Grundlage: Es gilt der separat abzuschließende Auftragsverarbeitungsvertrag (AVV).

§ 7 Support-Kommunikation und Konto-Zugriff

(1) Anfragen über das integrierte Support-Ticket-System werden zur Bearbeitung Ihres Anliegens gespeichert (Nachrichteninhalte, Zeitstempel, Profil-ID).

(2) Konto-Zugriff durch den Support: Um Ihnen bei technischen Problemen effektiv helfen zu können, sind unsere Support-Mitarbeiter technisch in der Lage, auf Ihr Nutzerkonto zuzugreifen („Impersonation"). Ein solcher Zugriff erfolgt ausschließlich im Rahmen einer konkreten Support-Anfrage durch Sie oder zur Behebung von Systemfehlern, sofern dies zur Zweckerfüllung zwingend notwendig ist. Der Zugriff wird intern protokolliert.

(3) Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Support als Teil der vertraglichen Leistung).

§ 8 DATEV-Export und Buchhaltungsdaten

Wir bereiten Ihre Rechnungsdaten im DATEV-CSV-Format zum Download für Sie auf. Ein direkter Datentransfer an Dritte (z. B. Steuerberater) durch uns erfolgt nicht — der Export liegt ausschließlich in Ihrem Verantwortungsbereich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

§ 9 E-Mail-Versand (System-Mails und Nutzer-SMTP)

• System-Mails (Registrierung, Passwort-Reset, Export-Links): Versand über IONOS SE. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Nutzer-SMTP: Hinterlegte SMTP-Zugangsdaten für Ihren eigenen E-Mail-Versand (Rechnungen, Angebote an Ihre Kunden) werden mittels AES-256-GCM-Verschlüsselung gesichert gespeichert und ausschließlich für den von Ihnen ausgelösten Versand genutzt.

§ 10 Zahlungsabwicklung (Stripe)

Zahlungen werden über Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland, abgewickelt.

• Verarbeitete Daten: Name, Zahlungsdaten, Transaktionsdaten, Abo-Status.
• Drittland: Übermittlung an Stripe Inc. (USA) auf Basis von Standardvertragsklauseln (Art. 46 DSGVO) möglich.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

§ 11 Datenexport und Archivierung

Wir bieten ZIP-Datenexporte (Rechnungen und Angebote nach Jahr und Monat sortiert) zur Erfüllung Ihres Rechts auf Datenportabilität (Art. 20 DSGVO) sowie zur Einhaltung gesetzlicher Aufbewahrungsfristen an. Download-Links sind aus Sicherheitsgründen 24 Stunden gültig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO, Art. 20 DSGVO.

§ 12 Öffentliche Angebotslinks (Public Offers)

Bei Nutzung der Funktion „Öffentlicher Angebotslink" erfassen wir Aufruf-Zeitstempel und einen View-Counter für den geteilten Link. Der Nutzer trägt die alleinige Verantwortung für die Entscheidung, wem er diesen Link zugänglich macht, und für die datenschutzkonforme Verwendung des View-Trackings gegenüber seinen Endkunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

§ 13 KI-gestützte Spracheingabe (KlaroVoice)

Die Sprachfunktion „KlaroVoice" ist standardmäßig gesperrt und wird erst nutzbar, wenn der Kontoinhaber sie in der Anwendung ausdrücklich freigibt. Ohne diese Freigabe wird keine Aufnahme übermittelt.

Ablauf. Sie sprechen einen Text ein. Die Aufnahme wird an OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland, übermittelt, dort in Text umgewandelt und in Belegangaben übersetzt. Das Ergebnis ist ein Entwurf, den Sie prüfen und selbst übernehmen.

• Verarbeitete Daten: die Sprachaufnahme und der daraus erzeugte Text. Enthält die Aufnahme Namen oder andere personenbezogene Angaben, weil Sie sie einsprechen, werden diese als Bestandteil der Aufnahme mit übermittelt.
• Was NICHT übermittelt wird: Ihr Kundenstamm und Ihr Leistungskatalog. Die Schnittstelle nimmt diese Daten technisch nicht entgegen; die Zuordnung zu Kunden und Artikeln erfolgt anschließend ausschließlich auf unseren Systemen.
• Speicherung bei uns: keine. Weder die Aufnahme noch der Text werden in unserer Datenbank gespeichert. Die Aufnahme wird während der gesamten Verarbeitung ausschließlich im Arbeitsspeicher gehalten und auf keine Festplatte geschrieben — sie kann damit auch nicht in eine Datensicherung gelangen. Nach der Verarbeitung wird sie in jedem Fall verworfen. Gespeichert werden je Vorgang nur Zeitpunkt, Dauer, Modellbezeichnung, Verbrauchszahlen und eine Kostenschätzung — erforderlich für die Abrechnung des Sprachkontingents.
• Speicherung beim Dienstleister: OpenAI verwendet die über die Programmierschnittstelle übermittelten Daten nach eigenen Angaben nicht zum Training seiner Modelle. Eingaben und Ausgaben können bis zu 30 Tage zur Erkennung von Missbrauch aufbewahrt und danach gelöscht werden.
• Drittland: Vertragspartner ist die in Irland ansässige OpenAI Ireland Ltd. Soweit diese Daten an Gesellschaften außerhalb des EWR übermittelt, geschieht dies auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder eines Angemessenheitsbeschlusses (Art. 45 DSGVO).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags), im Verhältnis zu Ihren Endkunden Art. 28 DSGVO (Auftragsverarbeitung).
• Widerruf: Der Kontoinhaber kann die Freigabe jederzeit in den Einstellungen widerrufen. Die Funktion ist danach sofort gesperrt.

Hinweis für Nutzer mit Beschäftigten: Wir protokollieren je Aufnahme, welches Teammitglied sie veranlasst hat, sowie Dauer und Kosten. Diese Angaben sind zur Abrechnung erforderlich, aber grundsätzlich geeignet, Verhalten und Leistung zu beurteilen. Besteht in Ihrem Betrieb ein Betriebsrat, kann die Einführung nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig sein.

Ihre eigene Informationspflicht: Sprechen Sie Daten Ihrer Kunden ein, sind Sie diesen gegenüber Verantwortlicher und müssen sie nach Art. 13, 14 DSGVO unterrichten. Einen Formulierungsvorschlag stellen wir Ihnen in den Einstellungen bereit.

§ 14 Kontolöschung und gesetzliche Aufbewahrungspflichten

(1) Bei Beantragung der Kontolöschung werden Ihre Daten in der Anwendung nach Ablauf von 30 Tagen unwiderruflich gelöscht.

(2) Wir speichern lediglich unsere eigenen geschäftlichen Belege (z. B. Abonnements-Rechnungen an Sie) gemäß unserer eigenen gesetzlichen Aufbewahrungsfristen.

§ 15 Cookies und LocalStorage

Wir nutzen ein eigens entwickeltes Consent-Management-System ohne externe Dienste.

• Technisch notwendig (keine Einwilligung erforderlich):
  • JWT-Authentifizierungstoken (Sitzungsverwaltung, sessionbasiert)
  • kf_consent (LocalStorage, Speicherung Ihrer Cookie-Einwilligung, 1 Jahr)
• Einwilligungspflichtig (Art. 6 Abs. 1 lit. a DSGVO): Statistik- und Marketing-Cookies, die nur nach ausdrücklicher Zustimmung gesetzt werden. Einwilligung jederzeit widerrufbar über den Datenschutz-Button auf der Website.

§ 16 Google Analytics 4

Diese Website nutzt Google Analytics 4 nur nach Ihrer ausdrücklichen Einwilligung.

• Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland.
• Implementierung: Google Consent Mode v2, IP-Anonymisierung aktiviert (anonymize_ip: true).
• Cookies: _ga, _gid, _ga_* (bis zu 2 Jahre).
• Drittland: Mögliche Übermittlung in die USA, abgesichert über das EU-US Data Privacy Framework.
• Laden des Messcodes: Die Google-Analytics-Bibliothek wird erst nach Ihrer Einwilligung von googletagmanager.com geladen. Ohne Einwilligung findet keine Verbindung zu Google statt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Einwilligung jederzeit widerrufbar.

§ 17 Meta Pixel und TikTok Pixel

Werbe-Tracking über Meta Pixel (Meta Platforms Ireland Ltd.) und TikTok Pixel (TikTok Technology Ltd.) erfolgt ausschließlich nach Ihrer ausdrücklichen Einwilligung und ist standardmäßig deaktiviert.

• Meta Pixel: Cookies _fbp, _fbc (bis zu 3 Monate). Datenschutz: facebook.com/privacy/policy
• TikTok Pixel: Cookies _ttp, tt_webid_v2 (bis zu 13 Monate). Datenschutz: tiktok.com/legal/privacy-policy
• Drittland: Meta Platforms Ireland Ltd. und TikTok Technology Ltd. übermitteln Daten an ihre Konzernmuttergesellschaften in den USA. Grundlage sind für Meta das EU-US Data Privacy Framework und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), für TikTok Standardvertragsklauseln.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Einwilligung jederzeit widerrufbar.

§ 17a Serverseitige Messung von Vertragsabschlüssen

Schließen Sie ein Abonnement ab, meldet unser Server diesen Abschluss an die Messdienste — zusätzlich zur Messung in Ihrem Browser. Das geschieht nur, wenn Sie zuvor eingewilligt haben: ohne Einwilligung fehlen die dafür nötigen Kennungen aus Ihrem Browser, und die Meldung entfällt vollständig.

• Google Analytics 4 Measurement Protocol (Google Ireland Ltd.): übermittelt wird das Ereignis „purchase" mit Betrag, Währung und Ihrer GA-Client-Kennung. Voraussetzung ist Ihre Einwilligung in die Kategorie „Statistik". Ohne diese Kennung wird nichts übermittelt.
• Meta Conversions API (Meta Platforms Ireland Ltd.): übermittelt werden das Ereignis „Purchase" mit Betrag und Währung, Ihre mit SHA-256 verschlüsselte E-Mail-Adresse, Ihre IP-Adresse, Ihr Browser-Kennzeichen (User-Agent) sowie die Pixel-Kennungen _fbp und _fbc. Voraussetzung ist Ihre Einwilligung in die Kategorie „Marketing"; ohne die Pixel-Kennungen entfällt die Übermittlung.
• Zwischenspeicherung bei Stripe: Die für die Meta-Meldung nötigen Angaben (Pixel-Kennungen, IP-Adresse, User-Agent) werden bis zur Bestätigung der Zahlung als Metadaten der Zahlungssitzung bei Stripe hinterlegt. Auch das geschieht nur bei vorliegender Marketing-Einwilligung.
• Zweck: Messung, welche Werbemaßnahme zu einem Abschluss geführt hat.
• Drittland: siehe §§ 16 und 17.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Einwilligung jederzeit über die Datenschutzeinstellungen widerrufbar; ein Widerruf wirkt für die Zukunft.

§ 18 Hosting und Infrastruktur

Der Betrieb der Plattform erfolgt durch IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, auf Servern ausschließlich in Deutschland. Ein Auftragsverarbeitungsvertrag (AVV) mit IONOS ist abgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

§ 19 Technische Sicherheitsmaßnahmen

Wir setzen folgende technische und organisatorische Maßnahmen (TOM) ein:

• Transportverschlüsselung: TLS 1.2/1.3 (SSL)
• Passwort-Hashing: bcrypt (mind. 12 Runden)
• Authentifizierung: JWT-System mit Ablaufzeiten
• Datenisolation: user_id-basierte Trennung, UUID-Pseudonymisierung
• Drittanbieter-Zugangsdaten: AES-256-GCM-Verschlüsselung (SMTP-Credentials)
• Backup: regelmäßige Datensicherung, Wiederherstellungskonzept
• Monitoring: aktive Systemüberwachung

§ 20 Betroffenenrechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Anfragen zur Ausübung Ihrer Rechte richten Sie bitte an: moin@klugesdenken.de

§ 21 Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist:

§ 22 Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

Das gilt ausdrücklich auch für die KI-gestützte Spracheingabe (§ 13): Sie erzeugt ausschließlich einen Entwurf. Ob daraus ein Beleg entsteht und ob er versendet wird, entscheiden allein Sie durch eine eigene Handlung. Eine Entscheidung mit rechtlicher Wirkung trifft die Software nicht.

§ 23 Aktualität und Änderungen

Stand: August 2026. Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen unserer Dienste oder der Rechtslage anzupassen. Die jeweils aktuelle Version ist unter klarofix.com/datenschutz abrufbar.